Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W funkcji snd_ctl_elem_add w jądrze Linuxa do wersji 5.6.3 występuje problem związany z linią count=info->owner, co wpływa na mnożenie private_size*count, prowadząc do nieokreślonych 'interesujących efektów ubocznych'. Inżynierowie jądra kwestionują tę podatność, twierdząc, że może być istotna tylko w przypadku dodania nowych wywołań, które nie są świadome niewłaściwego użycia pola info->owner.
Kamery i rejestratory NVR firmy Amcrest są podatne na przepełnienie bufora stosu przez port 37777. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do zawieszenia urządzenia, a potencjalnie także do wykonania dowolnego kodu.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 niewłaściwie obsługuje interakcję między gadżetami serializacyjnymi a typowaniem, co jest związane z org.springframework.aop.config.MethodLocatingFactoryBean (znanym również jako spring-aop).
Sonatype Nexus Repository w wersjach przed 3.21.2 pozwala na wstrzyknięcie JavaEL (JavaEL Injection). Jest to pierwsza z dwóch powiązanych podatności.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 niewłaściwie obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.openjpa.ee.WASRegistryManagedRuntime (znanym również jako openjpa).
Wersje 2.x biblioteki FasterXML jackson-databind przed 2.9.10.4 niewłaściwie obsługują interakcję między gadżetami serializacyjnymi a typowaniem, co jest związane z org.apache.commons.proxy.provider.remoting.RmiProvider.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.activemq.* (znanym jako activemq-jms, activemq-core, activemq-pool i activemq-pool-jms).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z javax.swing.JEditorPane.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.aoju.bus.proxy.provider.remoting.RmiProvider (znanym jako bus-proxy).
Urządzenia TP-Link Archer C50 V3 przed wersją Build 200318 Rel. 62209 są podatne na atak typu denial of service (DoS) poprzez specjalnie skonstruowany nagłówek HTTP zawierający nieoczekiwane pole Referer. Atakujący może zdalnie wywołać ten problem.
W module sieci Ethernet Quantum 140NOE771x1 oraz w procesorach Quantum i Premium z zintegrowanym Ethernetem występuje podatność CWE-754, która może prowadzić do odmowy usługi (DoS) w wyniku wysłania specjalnie przygotowanej komendy przez Modbus.
Das U-Boot w wersji do 2020.01 pozwala atakującym na ominięcie ograniczeń związanych z weryfikacją rozruchu i uruchomienie dowolnych obrazów, poprzez dostarczenie spreparowanego obrazu FIT do systemu skonfigurowanego do uruchamiania domyślnej konfiguracji.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.caucho.config.types.ResourceRef (znanym jako caucho-quercus).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (znanym jako aries.transaction.jms).
Agenci Trend Micro Apex One (2019), OfficeScan XG oraz Worry-Free Business Security (9.0, 9.5, 10.0) są podatni na lukę polegającą na obejściu walidacji treści, co może pozwolić atakującemu na manipulowanie niektórymi komponentami klienta agenta. Próba ataku wymaga uwierzytelnienia użytkownika.
Komponent narzędzia migracji w Trend Micro Apex One (2019) i OfficeScan XG zawiera podatność, która może pozwolić zdalnym atakującym na wykonanie dowolnego kodu na zainstalowanych systemach (RCE). Próba ataku wymaga uwierzytelnienia użytkownika.
VMware Fusion (11.x przed 11.5.2), VMware Remote Console dla Mac (11.x i wcześniejsze przed 11.0.1) oraz Horizon Client dla Mac (5.x i wcześniejsze przed 5.4.0) zawierają podatność na eskalację uprawnień z powodu niewłaściwego użycia binariów setuid. Skuteczne wykorzystanie może pozwolić atakującym z normalnymi uprawnieniami użytkownika na podniesienie uprawnień do roota na systemie, gdzie zainstalowano Fusion, VMRC lub Horizon Client.
W pliku configurationwatcher.go w Traefik 2.x przed wersją 2.1.4 oraz TraefikEE 2.0.0 występuje problem z niewłaściwym usuwaniem zawartości certyfikatów z dostawców przed zapisaniem ich w logach.
Unraid w wersji 6.8.0 umożliwia obejście uwierzytelniania, co może prowadzić do nieautoryzowanego dostępu do systemu.
Podatność CVE-2020-6988 dotyczy kontrolerów Rockwell Automation MicroLogix 1400 oraz MicroLogix 1100, a także oprogramowania RSLogix 500. Zdalny, nieautoryzowany atakujący może wysłać żądanie do kontrolera, co pozwala na uzyskanie wartości używanych haseł do autoryzacji użytkownika po stronie klienta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS